Guida per forze dell'ordine su Amazon, AWS e Ring: dati e richieste

Amazon appare nelle indagini attraverso tre superfici molto diverse, ognuna con le proprie regole: l'account retail Amazon (ordini, indirizzi, dati di pagamento e di accesso), Amazon Web Services (AWS) (il cloud che ospita una gran parte di Internet, dove la domanda è solitamente “chi c'è dietro questo server o IP?”) e Ring (sicurezza domestica e videocitofoni, dove l'obiettivo sono i filmati). Amazon.com, Inc. è una società statunitense e le divulgazioni dei dati dei clienti seguono le procedure legali statunitensi ai sensi dello Stored Communications Act (18 U.S.C. § 2701 et seq.). Le tre superfici sono trattate separatamente di seguito perché ciò che si può ottenere, e come, differisce notevolmente.

Identificatori per una richiesta di dati

Definisci con precisione l'ambito di ogni superficie. Per un account retail, fornisci l'email registrata ed eventuali numeri d'ordine e indirizzi di spedizione. Per AWS, l'identificatore singolo più utile è l'indirizzo IP con un timestamp preciso (e fuso orario), oltre a qualsiasi ID di istanza o risorsa; questo è ciò che permette ad AWS di associare l'attività a un titolare di account. Per Ring, identifica l'account del proprietario del dispositivo e l'esatta posizione e finestra temporale dei filmati richiesti.

Quali dati forniscono Amazon, AWS e Ring

Superficie	Cosa è disponibile	Procedura necessaria
Account retail Amazon	Informazioni sull'abbonato (nome, email, indirizzi, telefono), cronologia ordini, metodo di pagamento e registri di accesso/IP	Citazione in giudizio (subpoena) per i dati dell'abbonato; mandato per contenuti/comunicazioni
AWS	Identità del titolare dell'account e fatturazione per un determinato account/IP, e log a livello di account. AWS generalmente non detiene i contenuti delle applicazioni del cliente	Citazione in giudizio/ordine del tribunale per identificare l'account; per i contenuti ospitati, rivolgersi al cliente (vedi sotto)
Ring (filmati telecamera)	Video archiviati e dati dell'account per un dispositivo	Mandato di perquisizione, consenso del proprietario o emergenza reale di pericolo imminente

AWS — rivolgersi al cliente. AWS è un host di infrastruttura: il cliente AWS è il titolare del trattamento dei dati per i contenuti che archivia. Quindi, mentre AWS risponderà a una procedura legale valida per identificare l'account dietro un IP o una risorsa, i dati dell'applicazione stessa (database, file, record utente del servizio ospitato) devono solitamente essere ottenuti direttamente da quel cliente, utilizzando i dati dell'abbonato AWS per trovarlo.

Ring — il cambiamento del 2024. All'inizio del 2024 Ring ha terminato il suo strumento "Richiesta di assistenza" nell'app Neighbors, che permetteva alla polizia di chiedere pubblicamente agli utenti filmati senza una procedura legale. La polizia ora ottiene i filmati Ring tramite un mandato di perquisizione o una citazione in giudizio, chiedendo al proprietario di condividerli volontariamente, o nei casi in cui Ring/Amazon li fornisca direttamente in caso di pericolo imminente di morte o lesioni fisiche gravi. Non esiste più una scorciatoia per richieste pubbliche senza mandato.

Notifica all'utente: La politica di Amazon è generalmente quella di notificare al cliente la richiesta, a meno che non sia legalmente proibito o si applichi un'eccezione (come in materia di sicurezza dei minori o pericolo imminente).

Come inviare una richiesta

Amazon accetta procedure legali solo tramite ALERT. Nelle parole di Amazon, "non accetta la notifica di citazioni in giudizio, mandati di perquisizione o altre procedure legali se non tramite" l'Amazon Law Enforcement Request Tracker. Le agenzie statunitensi presentano la richiesta su ler.amazon.com/us; le agenzie UE e Regno Unito su emea.ler.amazon.com, trattato passo dopo passo nella nostra guida UE e Regno Unito. Le emergenze passano attraverso il pulsante di richiesta di emergenza del portale; per problemi con il portale, inviare un'email a [email protected].

1. Preservare prima ai sensi del 18 U.S.C. § 2703(f) (90 giorni, prorogabili) — specialmente per i filmati Ring, che hanno una conservazione limitata e possono andare persi.
2. Inviare una procedura legale valida attraverso il canale di Amazon per le forze dell'ordine (e la procedura di richiesta informazioni di AWS per questioni cloud), con identificatori corrispondenti alla superficie e il livello di procedura corrispondente ai dati.
3. Per i servizi ospitati su AWS, utilizzare i dati dell'abbonato AWS per identificare l'operatore, quindi notificare tale operatore per i contenuti dell'applicazione.

Richieste di divulgazione in caso di emergenza

Laddove vi sia un rischio imminente di morte o lesioni fisiche gravi, Amazon, AWS e Ring possono ciascuno divulgare dati — inclusi i filmati Ring — volontariamente e senza mandato ai sensi dell'eccezione di emergenza dello Stored Communications Act. Inviare tramite il canale ufficiale, articolando la minaccia specifica e immediata, i dati o i filmati necessari e gli identificatori pertinenti. La divulgazione è a discrezione dell'azienda.

Per l'India: base legale e procedura

• IT Act, 2000 — Sezione 69 e BNSS, 2023 — Sezione 94 forniscono l'autorità nazionale per ordinare la produzione di documenti elettronici.
• IT Rules, 2021 — Regola 3: instradare il coordinamento di primo livello attraverso il canale ufficiale di Amazon; passare all'MLAT per i dati e i contenuti dei clienti.
• MLAT: per i dati dell'account detenuti negli Stati Uniti, l'attribuzione dell'account AWS o i filmati Ring, instradare la richiesta attraverso l'Autorità Centrale MHA al Dipartimento di Giustizia degli Stati Uniti, Ufficio per gli Affari Internazionali. Presentare immediatamente una richiesta di conservazione, poiché i filmati Ring in particolare potrebbero altrimenti essere eliminati prima che la procedura MLAT si concluda.

Cosa ti servirà

• Retail: email dell'account, ID ordine, indirizzi;
• AWS: l'indirizzo IP con timestamp e fuso orario precisi, oltre agli ID di istanza/risorsa;
• Ring: l'account del proprietario del dispositivo, la posizione esatta e la finestra temporale, oltre a un mandato di perquisizione (o consenso del proprietario / base di emergenza);
• Lo strumento legale appropriato per la superficie e una richiesta di conservazione 2703(f) presentata tempestivamente;
• Per le agenzie indiane: una richiesta MLAT tramite MHA, oltre alla conservazione immediata.

Per una directory completa dei portali per le richieste delle forze dell'ordine sulle principali piattaforme, visita il nostro hub del portale LERS o la guida LERS piattaforma per piattaforma.

Vedi anche: Amazon Preservation and Emergency Requests: Police Guide and Template.